入侵检测 - 卫方智能网络安全资讯平台

Sigma 规则实战：SIEM 告警降噪配置

2026年10月24日作者卫方智能

从零编写 Sigma 规则并转换为 Lucene 与 Splunk 查询，用字段收敛、过滤规则和聚合抑制把 SIEM 告警量压到可处理水平，附完整 YAML 与回放验证命令。

2026年10月23日作者卫方智能

用 Kismet 搭建可持续运行的无线入侵检测：监听模式配置、告警规则编写、钓鱼 AP 与去认证洪泛识别、告警接入集中日志，附验证命令。

2026年10月16日作者卫方智能

UEBA 用户行为分析实战教程：用 auditd 与 Filebeat 采集登录和提权事件，经 Elasticsearch 聚合生成账号行为基线，再以暴力破解、异常时段登录、横向移动三类偏离规则告警，附完整命令与验证方法。

2026年10月9日作者卫方智能

无文件攻击检测实战教程：针对 memfd 匿名内存执行、LD_PRELOAD 注入与 ptrace 进程注入三条路径，配置 auditd 审计规则与 bpftrace 实时探针，附 /proc 巡检脚本、无害 POC 验证方法与取证处置流程。

2026年10月3日作者卫方智能

内存马检测与查杀完整方案：通过 jcmd 与 /proc 定位 Agent 注入、Arthas 枚举未声明 Filter 与 Valve、hprof+OQL 离线比对组件清单，并给出清除恢复与 DisableAttachMechanism 加固命令。

2026年9月30日作者卫方智能

威胁狩猎实战流程：从 auditd 与 Sysmon 数据源准备、ATT&CK 假设设计、ausearch 查询编写，到 Atomic Red Team 验证与 Wazuh、Sigma 规则固化。附可复制命令与误报收敛方法。

2026年9月26日作者卫方智能

eBPF 运行时行为采集实战：用 bpftrace 采集进程执行、敏感文件写入与异常外联事件，含 systemd 持久化、丢事件排查与性能开销评估方法。

2026年9月15日作者卫方智能

内存取证能发现磁盘取证遗漏的隐藏进程、无文件恶意代码与外连记录。本文给出 LiME 与 AVML 内存采集命令、SHA256 证据固定流程、Volatility 3 的 pslist/malfind/sockstat/bash 分析方法，以及生产环境采集对业务影响的控制措施。

2026年9月11日作者卫方智能

文件被植入后门后日志往往无异常，AIDE 用哈希基线比对发现篡改。本文详解 AIDE 文件完整性监控：监控范围分级配置、初始基线生成与不可变保护、aide –check 差异解读、定时扫描邮件告警，含误报处理与 Tripwire、Wazuh 选型对比。

2026年9月9日作者卫方智能

Sophos X-Ops披露针对F5 BIG-IP APM设备的Linux Rootkit攻击：利用CVE-2025-53521植入可跨升级持久化的恶意组件，WebShell直接注入内存，磁盘不留文件。795台设备仍暴露。

2026年9月2日作者卫方智能

一套可直接部署的 Linux 入侵检测脚本：监控 SSH 爆破、UID 0 异常账户、临时目录后门与计划任务变更，配合 cron 定时执行与企业微信告警，低成本建立服务器第一道防线。

2026年8月30日作者卫方智能

CrowdSec 开源入侵防御系统部署实战：Agent 日志解析、场景检测、Bouncer 防火墙封禁与社区威胁情报联防的完整配置流程与验证方法。